Ley CLOUD: lo que realmente dice, lo que no puede decir y por qué está reescribiendo el mercado europeo de la nube - VSX.is

En junio de 2025, Anton Carniaux, Director de Asuntos Públicos y Jurídicos de Microsoft Francia, compareció ante una comisión del Senado francés. Bajo juramento, se le preguntó si podía garantizar que los datos de los clientes franceses almacenados en Microsoft -concretamente los datos confiados a través de la central de compras públicas UGAP- no serían revelados a las autoridades estadounidenses sin el consentimiento expreso de las autoridades francesas. Respondió escuetamente: „Non, je ne peux pas le garantir“. No, no puedo garantizarlo. Si Microsoft recibe una orden judicial estadounidense válida en virtud de la Ley CLOUD, debe cumplirla. No importa dónde se encuentren físicamente los datos, ni lo que piense Francia de ellos.

Esta declaración es un punto de inflexión en el debate europeo sobre las nubes no porque diga algo nuevo. Sino porque Ley CLOUD Está en la ley en blanco y negro desde 2018. Es rompedor porque lo dijo en voz alta y bajo juramento un representante de uno de los mayores proveedores estadounidenses, en cuya infraestructura descansa una parte sustancial de la administración pública europea. A partir de ese momento, es imposible pretender que el problema es teórico.

En este artículo, desglosaremos lo que la Ley CLOUD significa realmente para usted -como usuario, autónomo o empresa en Europa- y cuándo es una razón para cambiar algo y cuándo es sólo una razón para entenderlo.

Qué hace la Ley CLOUD con su lenguaje sencillo

En 2018, el Congreso de Estados Unidos aprobó una enmienda a leyes más antiguas que se crearon cuando la nube aún no existía. El objetivo no era introducir una nueva vigilancia, sino aclarar hasta dónde llega la jurisdicción estadounidense cuando los datos se almacenan en una empresa estadounidense pero se encuentran físicamente en Europa o en cualquier otra parte del mundo.

El litigio específico que quedó en segundo plano ha sido librado por Microsoft desde 2013. El fiscal general de Estados Unidos quería que los correos electrónicos se almacenaran en un centro de datos irlandés, Microsoft argumentó que la legislación estadounidense no podía alcanzarlos. El caso llegó hasta el Tribunal Supremo. Antes de que pudiera pronunciarse, el Congreso aprobó la Ley CLOUD, que cerró legislativamente el litigio a favor del fiscal: sí, la orden judicial estadounidense se aplica a los datos almacenados en el extranjero... siempre que los tenga un proveedor sobre el que Estados Unidos tenga jurisdicción.

La frase clave en torno a la cual gira todo el tema es „posesión, custodia o control“. Si un proveedor estadounidense tiene tus datos en una de estas relaciones, las autoridades estadounidenses pueden acceder a ellos, independientemente del centro de datos europeo en el que residan físicamente. Si no están en sus manos (por ejemplo, porque no se pueden descifrar sin tus claves o porque el proveedor no es estadounidense), la Ley CLOUD no se aplica.

Esa es la cuestión. Todo lo demás no es más que un refinamiento de esa frase.

Para lectores técnicos. La Ley CLOUD modifica tres antiguas leyes estadounidenses: la Ley de Comunicaciones Almacenadas (Stored Communications Act), la Ley de Escuchas Telefónicas (Wiretap Act) y la Ley de Registro y Localización (Pen Register/Trap and Trace Statute). La principal disposición sustantiva se encuentra en la sección 2713: un proveedor debe cumplir las obligaciones de la SCA independientemente de la ubicación de los datos. El segundo componente (§ 2523) establece el marco para los Acuerdos Ejecutivos bilaterales con países extranjeros. El tercero (§ 2703(h)) establece un nuevo recurso procesal - comity objection, un alegato de cortesía internacional - que un proveedor puede plantear si el cliente no es ciudadano ni residente de EE.UU. y el cumplimiento violaría la legislación de un Estado con un acuerdo válido de la Ley CLOUD.

Lo que la Ley CLOUD no puede hacer (y cómo los medios de comunicación suelen tergiversarla)

En el debate europeo, la Ley CLOUD se describe a menudo como „los estadounidenses pueden tomar tus datos cuando quieran“. Esto es en gran medida una exageración. Conviene saber lo que la Ley CLOUD no es.

No es una nueva ley de vigilancia. El fiscal estadounidense sigue necesitando una orden basada en una causa probable, igual que antes de 2018. El cambio está en el alcance jurisdiccional, no en las condiciones de la extradición.

No puede obligar al proveedor a descifrar datos para los que no tiene las claves. La ley establece expresamente que los acuerdos en virtud de la Ley CLOUD no pueden imponer la obligación de crear un mecanismo de descifrado o construir una puerta trasera. Esta es la razón por la que los servicios con verdadero cifrado de extremo a extremo (el proveedor nunca tiene las claves) operan en un régimen de riesgo distinto al de una nube tradicional, en la que las claves son gestionadas por el proveedor.

No llegará a un proveedor que no tenga vínculos con Estados Unidos. Si su proveedor de servicios en nube es una empresa europea sin filial estadounidense, activos estadounidenses ni presencia operativa en Estados Unidos, la Ley CLOUD no le afecta directamente. El conflicto de leyes sólo se plantea cuando el proveedor entra en ambas jurisdicciones al mismo tiempo.

No autoriza la recogida masiva ni la selección de personas estadounidenses por parte de autoridades extranjeras. Los acuerdos bilaterales que permite la Ley CLOUD (hasta ahora sólo con el Reino Unido y Australia) prohíben explícitamente la recolección masiva y la selección deliberada de ciudadanos estadounidenses por parte de autoridades extranjeras.

Es importante decirlo en voz alta. La Ley CLOUD es una herramienta para el acceso selectivo a datos en investigaciones penales específicas, no una herramienta para la vigilancia general. Para la mayoría de los usuarios europeos, la probabilidad teórica de que sus datos específicos figuren en una orden judicial estadounidense es escasa. Las estadísticas de los informes de transparencia de los principales proveedores muestran que la gran mayoría de las solicitudes estadounidenses se refieren a investigaciones individuales de personas concretas.

Un riesgo mayor que la Ley CLOUD. Para plano recogida de datos sobre extranjeros sirve a EE.UU. FISA 702. Allí, las condiciones son más laxas, la revisión judicial más indirecta y el alcance de los programas (PRISM, Upstream) significativamente más amplio. Schrems II invalidó Privacy Shield precisamente por FISA 702, no por la Ley CLOUD. Cuando los reguladores europeos hablan del riesgo de la vigilancia estadounidense, técnicamente se refieren a esto.

Cuando le concierna

Aquí viene lo que la mayoría de los artículos sobre la Ley CLOUD no abordan: cuándo es algo que hay que cambiar para ti y cuándo no. Vamos a repasarlo situación por situación.

Usuario privado de servicios comunes. Usted tiene Gmail, fotos en iCloud, OneDrive, Dropbox. La Ley CLOUD se aplica técnicamente a tus datos, pero la probabilidad práctica de que las autoridades estadounidenses los quieran específicamente es muy baja. La cuestión de „qué hacer al respecto“ te afecta principalmente por la sensibilidad del contenido: si tratas temas de salud, finanzas, relaciones privadas o políticamente delicados, hay motivos para pensar en alternativas europeas (Protón, Tuta, Infómano, Tresorit). No por el FBI, sino por el perfil general de confianza hacia los proveedores que tienen la obligación legal de anteponer los intereses de un Estado a los tuyos.

Autónomo o pequeña empresa sin presión normativa. Usted lleva la contabilidad, factura y se comunica con los clientes. A menos que entre sus clientes haya alguien cuyos datos interesen a otra persona (abogados, periodistas, médicos, investigadores, grupos de presión, políticos), el riesgo real de la Ley CLOUD es bajo para usted. Más relevante desde el punto de vista estratégico suele ser el perfil general de confianza hacia el proveedor y la cuestión de quién puede leer los datos de su empresa en funcionamiento, no quién puede hacerlos valer ante un tribunal.

Una profesión sensible. Abogado, médico, terapeuta, periodista, investigador, asesor fiscal. Para estas profesiones, la Ley CLOUD es una cuestión relevante desde el punto de vista operativo, no porque nadie quiera controlarlas a todas, sino porque no se puede cumplir con el deber profesional de confidencialidad si un proveedor de una jurisdicción extranjera puede facilitarle datos sin su conocimiento. Las organizaciones profesionales de algunos países europeos ya están empezando a abordar esta cuestión de forma normativa. Para estas profesiones, merece la pena contar con un proveedor europeo sin vínculos con Estados Unidos o con servicios con verdadera encriptación de extremo a extremo cuando el tipo de trabajo lo permita.

Empresa mediana con clientes europeos. Aquí es donde GDPR. Si procesa datos personales de clientes europeos, la legislación europea le obliga a saber quién puede acceder a ellos. El regulador europeo (EDPB) lo ha dejado claro en su guía actualizada de junio de 2025: el requisito directo de la Ley CLOUD no tiene una base legítima independiente en la legislación europea. Si su proveedor estadounidense divulga los datos sin el cauce legal adecuado, se meterá en problemas con el regulador europeo. Esta es la razón por la que las grandes empresas europeas están empezando a considerar seriamente arquitecturas híbridas a partir de 2024, en las que los datos sensibles permanecen en la infraestructura europea y la nube estadounidense se utiliza solo para las partes menos sensibles de la operación.

Organización regulada o administración pública. Para ti es nube soberana La elección es casi inevitable, ya sea porque el marco normativo nacional así lo exige (SecNumCloud en Francia, BSI C5 en Alemania) o porque la responsabilidad por cualquier infracción de las normas de seguridad de los Estados miembros es muy limitada. fuga de datos sería política y financieramente insostenible. Este es el segmento en el que el mercado europeo se ha transformado más rápidamente en los dos últimos años.

En qué se diferencian el GDPR y la Ley CLOUD. Para un proveedor o encargado del tratamiento europeo que también esté sujeto a la jurisdicción de EE.UU. (debido a su sede, filial, activos en EE.UU.), surge un conflicto irresoluble: cumplir una orden judicial de EE.UU. significa violar el artículo 48 del RGPD, cumplir el RGPD significa violar una orden judicial de EE.UU.. La Orientación EDPB 02/2024, Versión Final 2.1, de 4 de junio de 2025, establece explícitamente que el requisito de la Ley CLOUD directa no puede justificarse por un „interés legítimo“ con arreglo al artículo 6, apartado 1, letra f), del RGPD. Consecuencia práctica: los proveedores de ambas jurisdicciones no disponen de una vía totalmente segura desde el punto de vista del Derecho puro. Una de las pocas opciones claras es remitir a las autoridades estadounidenses al MLAT, el Tratado Interestatal de Asistencia Judicial Mutua, que está formalmente disponible.

Nube soberana: qué es realmente y cuándo es realmente útil

La palabra „soberano“ se ha utilizado tanto en el marketing de los proveedores de servicios en la nube durante los dos últimos años que ha empezado a perder su significado concreto. Reduzcámoslo a lo básico, sin marketing.

En Europa existen hoy tres tipos de ofertas que se presentan como „soberanas“ y cada una tiene una relación diferente con la Ley CLOUD.

Proveedores verdaderamente europeos. Francés OVHcloud, 3DS Outscale, Oodrive, NumSpot, Scaleway. Suizo Infomaniac. La alemana Hetzner y otros participantes en la iniciativa Gaia-X. Estas empresas tienen capital europeo, directivos europeos y una presencia nula o mínima en Estados Unidos. No están directamente cubiertas por la Ley CLOUD. Su punto débil es la escala: por regla general, no pueden competir con AWS o Azure en la profundidad de los servicios especializados (aprendizaje automático, almacenamiento de datos, distribución geográfica). Pero para la mayoría de las necesidades estándar, son totalmente suficientes.

Asociaciones „soberanas“ híbridas. Bleu francés (Orange + Capgemini explotan la tecnología Azure), S3NS (Thales con 95 % y Google Cloud con 5 % ejecutando tecnología GCP), Delos Cloud alemana (SAP ejecuta Azure para la administración pública). Modelo: una empresa europea con capital europeo opera tecnología de nube estadounidense bajo licencia en una instancia aislada, con sus propios centros de datos, sus propios empleados y sin conectividad con la infraestructura estadounidense. S3NS recibió la máxima calificación francesa SecNumCloud 3.2 el 19 de diciembre de 2025; Bleu superó el segundo hito (J1) en noviembre de 2025.

Esta ola es a la vez la más asertiva políticamente y la más controvertida. La agencia cibernética francesa ANSSI reconoce estos modelos, pero su director, Vincent Strubel, dijo explícitamente en enero de 2026 que SecNumCloud no es una etiqueta política de soberanía, sino una herramienta de ciberseguridad. Dicho de otro modo: La ANSSI no afirma que el S3NS sea totalmente inmune a la Ley CLOUD. Afirma que cumple sus normas técnicas y de procedimiento y que el control operativo de los datos está en manos europeas.

OVHcloud -el mayor proveedor verdaderamente europeo- sostiene que los modelos híbridos no son totalmente inmunes porque la dependencia de la tecnología estadounidense bajo licencia crea un vínculo a largo plazo cuya exigibilidad jurídica no puede comprobarse de antemano en una situación de crisis. El litigio está abierto y aún no hay una decisión judicial que lo resuelva.

Zonas de desembarco„ estadounidenses en Europa. Microsoft Cloud for Sovereignty, AWS European Sovereign Cloud (apertura en enero de 2026 en Brandenburgo), Oracle EU Sovereign Cloud. La cara comercial es similar a la de las categorías anteriores. En la práctica, son diferentes: el operador sigue siendo la matriz estadounidense o su filial europea bajo jurisdicción estadounidense. La Ley CLOUD se aplica aquí sin reservas. AWS declara en sus informes de transparencia a partir de 2020 que no ha liberado ningún contenido empresarial o gubernamental almacenado fuera de EE.UU.: una señal empírica importante, pero no una garantía legal para el futuro.

Cómo lo lee el controlador. Marcos europeos horizontales como NIS2 o DORA no prescriben por sí mismos qué nube utilizar. Exigen gestión de riesgos en la cadena de suministro, exigibilidad contractual frente al proveedor, auditabilidad, un plan de interrupciones y control de acceso. Para sectores con normativa propia (sanidad, finanzas, información clasificada, infraestructuras críticas) existen cualificaciones nacionales que la nube soberana suele exigir: SecNumCloud en Francia, BSI C5 en Alemania, marcos similares en otros países. Este es el nivel en el que la „nube soberana“ pasa de ser un debate estratégico a una obligación legal.

Schrems, DPF y lo que está por venir

Paralelamente a la Ley CLOUD, en Europa se está abordando un segundo nivel del mismo problema: cómo pueden viajar legalmente los datos europeos a Estados Unidos. Aquí ha habido tres oleadas.

Safe Harbor (2000) fue anulado en 2015 por el TJUE en Schrems I. Privacy Shield (2016) fue anulado en 2020 en Schrems II. El tercer intento -el Marco de Privacidad de Datos entre la UE y EE.UU.- está en vigor desde julio de 2023. Es probable que el TJUE se pronuncie sobre su validez entre 2026 y 2027. El primer asalto ya tuvo lugar en septiembre de 2025, cuando el Tribunal General de la UE desestimó el recurso del eurodiputado francés Philippe Latombe. Latombe recurrió en noviembre de 2025 ante el propio Tribunal de Justicia, que suele ser bastante más duro en su valoración de las prácticas de vigilancia estadounidenses.

Es importante para la Ley CLOUD que el DPF no le afecte directamente. La DPF se ocupa de las transferencias comerciales de datos de la UE a Estados Unidos. La Ley CLOUD se ocupa de lo que las autoridades estadounidenses pueden hacer con los datos una vez que las empresas estadounidenses los tienen. Son dos niveles paralelos del mismo problema, y juntos son la razón por la que el debate europeo sobre la soberanía digital ha cobrado tanto impulso en el periodo 2024-2026.

Qué le puede pasar al DPF. Si el Tribunal de Justicia de la UE anula la sentencia Schrems III, la transferencia de datos personales de la UE a EE.UU. volverá a encontrarse en un vacío legal. Los proveedores estadounidenses lo abordarán con cláusulas contractuales tipo (CCT) y medidas técnicas adicionales, tal como exige Schrems II. Para el cliente europeo, esto suele suponer una carga administrativa adicional, no un desastre, pero estratégicamente empuja aún más a las empresas hacia la nube europea. El eventual colapso del DPF figura, por tanto, en las iniciativas de nube soberana como un escenario silencioso que acelera la migración.

Un marco práctico para la toma de decisiones

Si se enfrenta a la decisión de hacia dónde llevar su propia operación, el debate sobre la Ley CLOUD puede reducirse a unas pocas preguntas que se plantean de forma pragmática.

La primera pregunta se refiere a la sensibilidad de los datos. Si gestionas principalmente marketing, comunicaciones corporativas rutinarias u operaciones no personales, tu decisión debería basarse principalmente en parámetros operativos y económicos: la Ley CLOUD es una preocupación legítima, pero probablemente no debería ser la principal. Si maneja historiales médicos, archivos jurídicos de clientes, fuentes periodísticas, datos de investigación o cualquier cosa que le resultaría devastadora si un tercero pusiera sus manos en ella, el riesgo es real desde el punto de vista operativo y merece una consideración arquitectónica aparte, no un argumento resignado del tipo „no voy a cambiarlo de todos modos“.

La segunda cuestión es reglamentaria. Si usted está sujeto a una normativa sectorial que exige un entorno cualificado (SecNumCloud en Francia, BSI C5 en Alemania, equivalentes en otros países), la nube soberana no es una opción: es una normativa. Si se está dentro de marcos horizontales como NIS2 o DORA, la prescripción es más general (gestión de riesgos, control contractual, supervisión de proveedores), pero empuja en la misma dirección.

La tercera cuestión es arquitectónica. Si se tiene una arquitectura por capas (datos menos sensibles separados de los más sensibles), a menudo se puede ejecutar un modelo híbrido: capa menos sensible en la nube estadounidense para obtener ventajas operativas, capa sensible en la europea o en las instalaciones. En la práctica, esta es la vía de compromiso más común elegida por las medianas y grandes empresas europeas entre 2025 y 2026.

La cuarta pregunta se refiere a los encriptación. Para la comunicación, las copias de seguridad o el almacenamiento de archivos, la forma realista hoy en día (Proton, Tuta, Tresorit, Cryptee, Señal, Matriz autoalojado). Cuidado: Signal es un operador estadounidense; su perfil de riesgo es diferente del de los servicios europeos (Proton, Tuta, Threema). En el caso de las bases de datos y las tareas analíticas, el verdadero cifrado de extremo a extremo es técnicamente posible, pero su rendimiento es poco práctico para la mayoría de las cargas de trabajo del mundo real. Se trata más bien de un cifrado híbrido con control de claves en el lado real.

La quinta cuestión es económica. La diferencia de precio entre la nube europea y la estadounidense depende hoy mucho del tipo de carga de trabajo. Para el almacenamiento de objetos, las instancias de computación central y los clústeres Kubernetes, los proveedores europeos suelen ser competitivos o incluso más baratos que los proveedores estadounidenses de hiperescala. Para los servicios gestionados avanzados (almacenamiento de datos, aprendizaje automático, distribución geográfica), las ofertas soberanas europeas suelen ser más caras. Esta es una realidad que debe tenerse en cuenta a la hora de tomar decisiones.

¿Qué implica esto?

La Ley CLOUD en sí no es principalmente una herramienta de vigilancia. Es una solución legislativa a una cuestión geográfica de la que carecía el Congreso de EE.UU. tras el caso Microsoft Irlanda - y que el Congreso resolvió a favor de las autoridades estadounidenses y en detrimento del control procesal europeo a través del MLAT. Para la mayoría de los usuarios europeos individuales, el impacto real de la Ley CLOUD es menor de lo que sugieren los materiales de marketing de los proveedores europeos de servicios en nube.

Pero a nivel del sistema, el impacto es exactamente como lo describió Anton Carniaux en el Senado francés: no podemos garantizar. Y esta incapacidad de garantizar es un problema estructural. Convierte la infraestructura sobre la que descansan los datos críticos de los Estados, las empresas y los ciudadanos europeos en una herramienta cuyas reglas escriben otros. Para los Estados, las organizaciones reguladas y las profesiones sensibles, esta es una razón para invertir en una vía de nube soberana totalmente europea o, al menos, híbrida. Para los usuarios ordinarios y las pequeñas empresas, es más una razón para pensar en qué datos específicos se verían realmente afectados por la pérdida de control jurisdiccional, y hacer un cambio ahí. El resto puede quedarse donde está.

Respuesta europea - DPF, Directrices EDPB, SecNumCloud, asociación para la nube soberana, mensajeros del gobierno en Matrix, alternativas europeas como Infomaniac, Proton o Threema- es en gran medida racional, pero desigual. Los gobiernos y las cargas clasificadas van por delante, la sanidad y las pymes se quedan en la pila estadounidense porque carecen de presión regulatoria o de espacio financiero para migrar. Lo que está ocurriendo en la nube europea desde 2023 es una lenta y costosa consolidación de esta desigualdad, y la Ley CLOUD es el catalizador, no la causa.

Glosario

Puerta trasera - Una ruta oculta deliberadamente incorporada que permite eludir la protección normal (como el cifrado).

Recogida a granel - Recogida masiva de datos sin sospecha específica, utilizada normalmente por las agencias de inteligencia.

Acuerdos de la Ley CLOUD (Acuerdos ejecutivos) - Acuerdos bilaterales interestatales que permiten a las autoridades extranjeras solicitar datos directamente a los proveedores estadounidenses (y viceversa), con límites incorporados contra el uso indebido. Hasta ahora, sólo se han celebrado con el Reino Unido (a partir de octubre de 2022) y Australia (a partir del 31 de enero de 2024). Las negociaciones con la UE y Canadá están en curso.

Objeción de cortesía - Objeción por motivos de cortesía internacional. Instrumento procesal por el que un proveedor puede pedir a un tribunal estadounidense que anule o modifique una orden cuyo cumplimiento violaría la legislación de un Estado extranjero.

Cifrado de extremo a extremo (E2EE) - cifrado en el que sólo el emisor y el receptor disponen de claves; proveedor de servicios y no puede descifrar el contenido, ni siquiera con una orden judicial.

Consejo Europeo de Protección de Datos (CEPD) - organismo que emite documentos vinculantes y recomendatorios sobre la aplicación del RGPD.

FISA 702 - Ley estadounidense que permite la recogida selectiva de información de inteligencia sobre extranjeros fuera de Estados Unidos. Suele ser más importante que la Ley CLOUD en términos de riesgo de vigilancia europea.

MLAT (Tratado de Asistencia Judicial Recíproca) - tratado de asistencia judicial mutua. La vía formal tradicional por la que un fiscal estadounidense solicita datos a un Estado europeo con el consentimiento de un tribunal europeo. Es lenta (10 meses de media), por lo que las autoridades estadounidenses suelen eludir la Ley CLOUD.

Posesión, custodia o control - „posesión, custodia, control“. La frase clave de la Ley CLOUD que determina si la agencia estadounidense puede llegar al proveedor.

Orden con causa probable - una orden judicial basada en una sospecha razonable. Condición estándar para obtener el contenido de las comunicaciones en Estados Unidos.

Schrems I / II / posible III - una serie de sentencias del TJUE que han ido suprimiendo los mecanismos de transferencia de datos personales entre la UE y EEUU (Safe Harbor 2015, Privacy Shield 2020, o el Data Privacy Framework en los años siguientes).

SecNumCloud - Cualificación francesa para servicios en nube adecuados para aplicaciones sensibles de la administración pública. Nivel máximo 3.2.

La información y las valoraciones de este artículo se basan en fuentes públicas disponibles en la fecha de publicación y están sujetas a cambios con el tiempo. Para una evaluación jurídica específica de su propia situación, le recomendamos que consulte con un asesor jurídico especializado en protección de datos y derecho informático.

La Ley CLOUD: lo que realmente dice, lo que no puede decir y por qué está reescribiendo el mercado europeo de la nube